StartCom

StartCom fue una autoridad de certificación fundada en Eilat , Israel , y posteriormente con sede en Pekín , China , que tenía tres actividades principales: StartCom Enterprise Linux ( distribución de Linux ), StartSSL ( autoridad de certificación ) y MediaHost ( alojamiento web ). StartCom estableció sucursales en China , Hong Kong , el Reino Unido y España . ^{[ 2 ]} Debido a múltiples fallos por parte de la empresa, todos los certificados de StartCom fueron eliminados de Mozilla Firefox en octubre de 2016 ^{[ 3 ]} y de Google Chrome en marzo de 2017, incluidos los certificados emitidos previamente, y se esperaba que se produjeran eliminaciones similares de otros navegadores. ^{[ 4 ]}

StartCom fue adquirida en secreto ^{[ 5 ]} por WoSign Limited ( Shenzhen , Guangdong , China ), a través de múltiples empresas, ^{[ a ]} lo cual fue revelado por la investigación de Mozilla ^{[ 5 ]} relacionada con la eliminación del certificado raíz de WoSign y StartCom en 2016. Debido a las sanciones de Mozilla y Apple, ^{[ 6 ] [ 7 ]} la empresa anunció que sería reestructurada durante 2016 por el grupo Qihoo 360 , matriz de WoSign , separando a StartCom de la WoSign afectada por el escándalo y convirtiéndola en una subsidiaria de Qihoo. ^{[ b ] [ 8 ]}

A pesar de los intentos por distanciarse de la controversia, el 16 de noviembre de 2017, StartCom anunció el cese de sus operaciones y, el 1 de enero de 2018, dejó de emitir nuevos certificados, cerrando efectivamente la empresa. ^{[ 9 ] [ 10 ]} Los sitios web de StartSSL, StartCom y StartCom CA ahora redirigen a la página de la tienda de WoSign.

StartCom ofrecía el certificado SSL X.509 de Clase 1 gratuito "StartSSL Free", que funciona tanto para servidores web ( SSL/TLS ) como para el cifrado de correo electrónico ( S/MIME ). También ofrecía certificados de Clase 2 y 3, así como certificados de validación extendida , que requerían una validación exhaustiva (con coste adicional).

Si bien los certificados eran gratuitos e ilimitados para ciertos usos, existían limitaciones a menos que se adquiriera una actualización:

• Validez del certificado de tres años
• La revocación del certificado conlleva el pago de una tasa.

En junio de 2011, la empresa sufrió una brecha de seguridad en su red que provocó que StartCom suspendiera la emisión de certificados digitales y servicios relacionados durante varias semanas. ^{[ 11 ]} El atacante no pudo utilizar esta vulnerabilidad para emitir certificados (y StartCom fue el único proveedor afectado, de entre seis, en el que se le impidió hacerlo). ^{[ 12 ]}

En agosto de 2016 se informó que StartCom fue vendida a WoSign, una CA china. ^{[ 16 ] [ 30 ] [ 31 ]} La divulgación original fue retirada por razones legales. ^{[ 32 ]} Sin embargo, las republicaciones de los artículos originales aún están disponibles. ^{[ 30 ]} La relación no está clara, pero parece que WoSign estaba utilizando la infraestructura técnica de StartCom cuando fueron descubiertos emitiendo alrededor de cien ^{[ 33 ]} certificados SSL validados incorrectamente, incluido un certificado para github.com. ^{[ 16 ] [ 34 ]}

Una investigación de Google y Mozilla descubrió que WoSign emitió certificados de forma deliberada e intencionada para eludir las restricciones de los navegadores y los requisitos de las CA. Como resultado, Google se unió a Mozilla y Apple y planeó dejar de confiar en todos los certificados de WoSign y StartCom a partir de 2017. ^{[ 35 ]} El 17 de julio de 2017, se anunció la reestructuración de la empresa. Se informó que StartCom ahora está gestionada al 100 % por Qihoo 360, que ningún empleado de StartCom trabaja en las instalaciones de WoSign, que se han realizado auditorías por parte de pentesters externos y que se ha desarrollado un nuevo sistema CMS. ^{[ 36 ]}

• Criptografía
• certificado de clave pública
• Infraestructura de clave pública
• Let's Encrypt

• Sitio web oficial en Wayback Machine (archivado el 23/07/2014)